Analityczne wykorzystywanie plików cookies
Luka XSS w wtyczce FunnelCockpit dla WordPress (CVE-2025-6588)
Podatność Reflected XSS w wtyczce FunnelCockpit do WordPress umożliwia ataki na administratorów. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 6.1 MEDIUM
- EPSS
- 33.79%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka FunnelCockpit dla WordPress do wersji 1.4.3 włącznie jest podatna na atak Reflected Cross-Site Scripting (XSS) przez parametr 'error' z powodu niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu. Atakujący może w ten sposób wstrzyknąć złośliwe skrypty, które wykonają się po nakłonieniu administratora do kliknięcia w spreparowany link.
Wpływ biznesowy
Podatność ta umożliwia nieautoryzowanym osobom wykonanie złośliwego kodu w kontekście przeglądarki administratora WordPress, co może prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla bezpieczeństwa witryny. Operatorzy powinni traktować tę lukę jako istotne zagrożenie dla integralności i poufności środowiska WordPress.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki FunnelCockpit i ich wdrożenie. W przypadku braku łatki należy ograniczyć ekspozycję panelu administracyjnego, monitorować logi pod kątem podejrzanych aktywności oraz edukować administratorów w zakresie unikania klikania w podejrzane linki. Priorytetem jest szybka reakcja i minimalizacja ryzyka wykorzystania luki.